Alpine Linux bouwt GitLab-server volledig opnieuw op na hackpoging

Alpine Linux heeft zijn GitLab-server compleet opnieuw opgebouwd. De ontwikkelaars zagen dat hackers probeerden een kritieke kwetsbaarheid in het Git-platform uit te buiten. Er zijn geen aanwijzingen dat dat is gelukt, maar het team greep toch uit voorzorg in.

Alpine Linux heeft zijn complete GitLab-server opnieuw opgebouwd na een hackpoging.De server bevatte een ongepatchte kwetsbaarheid in een Ruby-functie die het mogelijk zou maken om code uit te voeren.Het team achter de Linux-distro heeft geen bewijs gevonden dat dat is gelukt, maar kan dat niet volledig garanderen.

Alpine Linux heeft zijn complete GitLab-server opnieuw opgebouwd na een hackpoging.

De server bevatte een ongepatchte kwetsbaarheid in een Ruby-functie die het mogelijk zou maken om code uit te voeren.

Het team achter de Linux-distro heeft geen bewijs gevonden dat dat is gelukt, maar kan dat niet volledig garanderen.

De hackpoging vond plaats op 20 en 21 oktober, schrijft het Alpine Linux-team in een blogpost. De aanvaller probeerde een kritieke kwetsbaarheid in GitLab te misbruiken. Het gaat om de kwetsbaarheid CVE-2026-97229, die in het Common Vulnerability Scoring System (CVSS) een score van 10 krijgt en als kritiek geldt.

De bug zit in de manier waarop GitLab 'reguliere expressies' verwerkt in de configuratie voor continuous integration (CI). Die expressies bepalen welke taken worden uitgevoerd als iemand de code wijzigt. Onigmo is een engine die zulke expressies regelt en in programmeertaal Ruby zit gebakken. Dat onderdeel bevatte de kwetsbaarheid.

De bug kon zorgen voor een integer overflow, waardoor aanvallers code konden uitvoeren op een GitLab-server. GitLab verhielp de kwetsbaarheid op 12 oktober, al voerde Ruby zelf de patch pas op 23 oktober door.

Op 20 en 21 oktober probeerde een nieuw GitLab-account de kwetsbaarheid te misbruiken bij Alpine Linux. Het bedrijf draaide toen nog een GitLab-versie zonder de patch. De aanvaller kon het aanvalproces deels uitvoeren, al faalden de pogingen steeds bij een van de latere stappen.

Alpine Linux installeerde op 22 oktober de GitLab-update, maar ook daarmee was de kwetsbaarheid niet gedicht. Het gebruikt namelijk de standaardimage van Ruby en niet degene die GitLab meelevert. Aangezien Ruby zelf de patch pas op 23 oktober doorvoerde, bleef de kwetsbaarheid daardoor bestaan.

Het team heeft geen enkel bewijs gevonden dat de kwetsbaarheid succesvol is uitgebuit. Voor zover bekend heeft de aanvaller ook geen code kunnen uitvoeren op de GitLab-server, al durven de ontwikkelaars dat niet volledig uit te sluiten. Ze weten wel zeker dat geen Alpine-releases of -packages zijn aangepast en geen signing keys zijn gestolen.

Toch besloot Alpine Linux zijn GitLab-server compleet opnieuw op te bouwen. Daarom sloot het team de server op 27 oktober af voor iedereen behalve ontwikkelaars en buildservers. Vervolgens begon het aan de herbouw. Op 28 oktober was die voltooid.

Source: Tweakers.net